Artículo 2º-Objeto. Este reglamento tiene como objeto establecer los lineamientos institucionales en relación con el tratamiento que deberá aplicarse a los datos personales contenidos en los documentos emitidos en el TSE previo a su publicación en Internet o por cualquier medio o base de datos de acceso público que administre, de forma tal que se garantice los derechos de acceso a la información pública de carácter administrativo, civil y electoral y transparencia, en equilibrio con el derecho a la privacidad y autodeterminación informativa, procurando evitar que se propicien acciones discriminatorias, mediante el manejo adecuado de los datos, la seguridad de la información y uso de herramientas tecnológicas.

Artículo 3º-Ámbito de aplicación. Este reglamento deberá ser acatado por las Direcciones Generales y sus dependencias y se aplicará a los datos personales contenidos en documentos emitidos en el TSE, indistintamente de la materia que se trate, que figuren en bases de datos automatizadas o manuales y que deban ser difundidos, publicados o puestos a disposición de terceras personas.

Artículo 4º-Definiciones. Para la aplicación de este reglamento, se deben considerar las siguientes definiciones:

a) Autodeterminación informativa: Derecho fundamental derivado del derecho a la privacidad, que tiene como objeto controlar el flujo de información que concierne a cada persona, para evitar que se propicien lesiones a los derechos fundamentales y acciones discriminatorias.

b) Base de datos de acceso público: Aquella que permite acceder a su contenido de forma total o parcial, por cualquier persona que lo solicite o busque.

c) Datos personales: Cualquier dato relativo a una persona física identificada o identificable, tal como el nombre, número de cédula, dirección domiciliaria, correo electrónico, número telefónico, entre otros, que la identifiquen plenamente o que faciliten su identificación.

d) Datos personales de acceso irrestricto: Los contenidos en bases de datos públicas de acceso general, según lo dispongan leyes especiales y de conformidad con la finalidad para la cual estos datos fueron recabados.

e) Datos personales de acceso restringido: Los que, aun formando parte de registros de acceso al público, no son de acceso irrestricto por ser de interés solo para su titular o para la Administración Pública, cuyos respaldos son físicos o electrónicos, escritos u orales, o en cualquier otro medio, de conformidad con lo establecido en la Ley de Protección de Datos vigente.

f) Datos sensibles: Toda aquella información del fuero íntimo de la persona física, cuya asociación con esta permita su plena identificación y que pueda ser utilizada en su contra para su discriminación o exclusión, por ejemplo, su origen racial o étnico, sus opiniones políticas, convicciones religiosas, espirituales o filosóficas; así como la relativa a información biomédica, vida, salud, identidad de género y orientación sexual, entre otros.

g) Derecho al olvido: Es el derecho que tienen todas las personas para que, una vez transcurrido el plazo de 10 años desde la fecha de ocurrencia de los hechos o actos administrativos registrados, no estén disponibles para terceros los datos que le pudieran afectar, salvo disposición normativa especial que disponga otro plazo para datos concretos.

h) Despersonalización o anonimización: Tratamiento, automatizado o manual, dado a los datos sensibles y de acceso restringido, para proteger la identidad y personalidad de una persona física determinada y las condiciones fácticas relacionadas con ella en el marco de procesos y trámites realizados ante el TSE. Tiene como fin desvincular o desasociar a la persona física, identificada o identificable, de sus datos expuestos en los documentos de naturaleza administrativa y civil y, en los casos de excepción, electoral, mediante la eliminación o sustitución de los datos personales que no deban publicarse o transmitirse a terceros, ocultándolos en los documentos de acceso público con el uso de etiquetas y cualquier otra estrategia que los reserve.

i) Documentos a despersonalizar: Son todos aquellos documentos de acceso público emitidos en el TSE, tales como resoluciones, actas, oficios, memorandos, informes, circulares, tablas, u otros, cuyos respaldos sean físicos o electrónicos, escritos u orales, de conformidad con lo establecido en la Ley de Protección de Datos vigente.

j) Ley: Ley de protección de la persona frente al tratamiento de sus datos personales, Ley N° 8968 del 7 de julio de 2011, publicada en La Gaceta N° 170 del 5 de setiembre de 2011.

k) Persona interesada: Persona física, titular de los datos que sean objeto de tratamiento y despersonalización, automatizado o manual; o bien, quien esta autorice formalmente para su representación legal o quien sea su heredera o sucesora o albacea.

l) Persona identificada o identificable: Toda persona física cuya identidad pueda determinarse, directa o indirectamente, por ejemplo, mediante un número de identificación o uno o varios elementos específicos característicos de su identidad física, fisiológica, psíquica, económica, cultural o social.

m) Persona redactora: Persona que redacta el documento administrativo, civil o electoral.

n) Persona usuaria: Cualquier persona física o jurídica que acceda, por sí o a través de sus representantes o personas designadas, a la información con un interés personal, académico, laboral, de investigación, entre otros, y cuyo fin sea lícito.

o) Persona responsable de la protección de datos: Persona designada por cada unidad administrativa, que tiene a su cargo la identificación, administración, tratamiento o publicación de información sujeta a la protección de datos personales y que interviene en el acopio, almacenamiento y uso de estos.

p) Persona encargada de la despersonalización de documentos: Persona designada por cada unidad administrativa como encargada de analizar los documentos e implementar o realizar la protección material de los datos personales, anonimizándolos o despersonalizándolos de previo a su publicación o transmisión a terceras personas.

q) Tratamiento de datos personales: Cualquier operación o conjunto de operaciones aplicadas a datos personales, efectuadas mediante procedimientos automatizados o manuales, tales como recolección, registro, organización, conservación, identificación, extracción, protección, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma que facilite el acceso a estos, el cotejo o la interconexión, así como su modificación, bloqueo, supresión o destrucción, entre otros.

Artículo 5º-Documentos de acceso público en las bases de datos del TSE. Son todos aquellos documentos de acceso público contenidos en las bases de datos oficiales del TSE, emitidos por el Tribunal, sus Direcciones Generales y sus dependencias, que se encuentren en firme. Se califican en esta condición los documentos en materia administrativa, civil y electoral que se produzcan en la institución.

No podrá publicitarse ni transmitirse a terceras personas aquella información que no haya sido protegida según lo dispuesto en la Ley N° 8968, este reglamento y el protocolo respectivo.

SECCIÓN II

Responsabilidades y obligaciones de las personas

designadas para la protección de datos

y despersonalización o anonimización

de documentos

Artículo 6º-Persona responsable de la protección de datos. Será responsable de la protección de datos la persona designada en cada dirección, oficina, programa o comisión del TSE para hacerse cargo de la base de datos, determinar las resoluciones o los documentos cuyos datos deben ser objeto de tratamiento, identificar los datos sensibles a despersonalizar, emitir alertas sobre documentos con datos sensibles, coordinar y remitir la información despersonalizada a ser publicada en internet o solicitada por terceros.

Artículo 7º-Obligaciones de la persona responsable de la protección de los datos. La persona responsable de la protección de datos deberá:

a) Cumplir con las políticas y temas estratégicos institucionales y generar los procedimientos para la implementación de lo dispuesto en este reglamento.

b) Adoptar las medidas de índole técnica y de organización necesarias para garantizar la seguridad y protección de los datos de carácter personal, así como la actualidad, veracidad y exactitud de los documentos contenidos en las bases de datos y evitar su alteración, destrucción accidental o ilícita, pérdida, tratamiento o acceso no autorizado, así como cualquier otra acción contraria a las normas que rigen la materia.

c) Determinar los documentos cuyos datos deben ser objeto de tratamiento e identificar los datos sensibles a despersonalizar.

d) Emitir las alertas correspondientes sobre los datos objeto de protección a lo interno de su unidad administrativa.

e) Transferir a la persona encargada de la despersonalización o anonimización, los documentos objeto de protección, con base en el procedimiento que se implemente al efecto.

f) Remitir la información despersonalizada a ser publicada en internet o solicitada por terceros.

g) Informar a la persona responsable de la protección de datos de cualquiera otra oficina institucional emisora acerca de los errores u omisiones detectados en documentos allí emitidos, a fin de que esta, en un plazo no mayor a dos días hábiles a partir de recibido ese reporte, corrija y comunique lo ejecutado.

h) Coordinar lo necesario para que la persona encargada de la despersonalización de documentos corrija los errores y omisiones que les reporten en relación con el tratamiento de los datos incluidos en documentos emitidos en su oficina y comunicar lo ejecutado en un plazo no mayor de dos días hábiles a partir del recibo del reporte.

Artículo 8º-Persona encargada de la despersonalización o anonimización de documentos. Cada dirección, oficina, programa o comisión institucional, según sea el caso, designará una persona como encargada de implementar o realizar la despersonalización material de los datos y de mantener actualizada la base de datos pública con todos los documentos despersonalizados, según lo identificado y determinado por la persona responsable, en aplicación de las reglas descritas en este reglamento y el protocolo respectivo.

Artículo 9º-Obligaciones de la persona encargada de la despersonalización de documentos. Son obligaciones de la persona encargada de la despersonalización o anonimización de documentos:

a) Implementar las medidas de seguridad necesarias para la protección e integridad de los datos y cumplir con lo dispuesto en la Ley N° 8968, en el reglamento institucional, en el protocolo y demás disposiciones aplicables.

b) Analizar, conforme al protocolo e indicaciones de la persona responsable de la protección de datos, si procede la despersonalización de la información en los documentos que se han emitido en su dependencia o se les han trasladado para estudio.

c) Despersonalizar, en los documentos, los datos personales de acceso restringido y de carácter sensible, de conformidad con lo dispuesto en la Ley N° 8968, este reglamento y el protocolo respectivo.

d) Elaborar y mantener actualizada una base de datos de documentos despersonalizados y otra de los documentos sin despersonalizar, según las especificaciones del artículo 17 de este reglamento.

e) Preparar lo pertinente para la publicación de los documentos despersonalizados.

f) Comunicar a la persona responsable de la protección de datos de su misma oficina, acerca de los errores u omisiones que detecte sobre el tratamiento de los datos contenidos en documentos de la propia o de cualquier otra oficina institucional, para la respectiva corrección, alerta y comunicación.

Artículo 10.-Prohibiciones en la protección de datos. Es prohibido para las personas responsables de la protección de datos y las encargadas de la despersonalización, así como para cualquiera otra persona funcionaria que tenga acceso a documentos con datos restringidos y sensibles:

a) Usar los datos sensibles para fines distintos a los autorizados.

b) No guardar confidencialidad respecto de los datos sensibles tratados.

c) Transferir o difundir los datos de acceso restringido y sensibles de acuerdo con la Ley N° 8968 y demás normas aplicables.

SECCIÓN III

Despersonalización o anonimización

de los documentos

administrativos, civiles y electorales

Artículo 11.-Datos que deben protegerse. Para efectos de publicitar la información, divulgarla o facilitarla a terceras personas, deberán eliminarse, sustituirse u ocultarse los datos personales contenidos en un documento de naturaleza administrativa o civil que permitan identificar a una persona, cuando se haga alusión a datos sensibles o de acceso restringido a ella vinculados.

No podrá divulgarse, en ninguna circunstancia, la información personal relativa a personas menores de edad, víctimas de acoso laboral o sexual o de violencia política. De igual manera no se podrán publicar ni divulgar, en ningún caso, la dirección de la residencia, fotografías o imágenes, número de teléfonos privados y otros de igual naturaleza cuyo tratamiento pueda afectar los derechos y los intereses de la persona titular.

Siempre que en una base de datos de acceso público consten datos de acceso restringido o sensibles, se deberá realizar la despersonalización o anonimización u ocultamiento de los datos, según los procedimientos establecidos para el tipo de base de datos en específico.

Como norma general, cuando lo que consten sean datos de acceso restringido lo que se ocultarán serán estos datos, mientras que cuando lo que consten sean datos sensibles lo que se anonimizará serán los datos de identificación de la persona física titular, así como aquellos otros datos circunstanciales, fácticos o que por asociación permitan individualizarla.

Artículo 12.-Conservación de los datos sensibles. Los datos sensibles, totalmente desvinculados de las personas físicas titulares, se conservarán en el documento con fines institucionales, históricos, estadísticos, investigativos y académicos, y para rescatar temas de interés relacionados con derechos humanos, género, acoso laboral, acoso sexual, violencia política, accesibilidad, entre otros.

Artículo 13.-Reemplazo de datos personales. Únicamente serán objeto de protección, mediante su sustitución o reemplazo por las etiquetas que acá se describen, los datos personales en los documentos a publicitar o transmitir a terceras personas. Con el fin de uniformar los criterios para la despersonalización o anonimización, se utilizarán las siguientes etiquetas:

Artículo 14.-Datos en documentos electorales. Por su naturaleza y el interés públicos que revisten, no serán despersonalizados o anonimizados el nombre y número de cédula de las personas en los documentos electorales.

Se exceptúan los casos que involucren a personas menores de edad o cuando se encuentre en el documento información personal vinculada a datos sensibles o de acceso restringido, según el párrafo segundo del artículo 11 de este reglamento.

Artículo 15.-Datos que no deben despersonalizarse o anonimizarse. Se exceptúa de la protección y despersonalización prevista en este Reglamento:

a) Los nombres y números de cédula de quienes intervienen en su condición de persona funcionaria, representantes y militantes de los partidos políticos, integrantes de la estructura interna de la agrupación política, abogados y abogadas de las partes.

b) Los nombres y siglas de los partidos políticos, sociedades, empresas o establecimientos comerciales, números de cédula jurídica de partidos políticos, sociedades o empresas, marcas, nombres comerciales y financistas de las agrupaciones políticas, salvo que, existiendo datos sensibles, deban eliminarse con el fin de no identificar a personas físicas con derecho de protección o en caso de que exista norma legal especial que declare su confidencialidad.

c) Los datos personales de acceso irrestricto (datos públicos) relativos a la registración de los hechos vitales y actos civiles.

d) La información sensible o restringida de las personas que, expresamente, señalen su deseo de que sus datos no sean anonimizados, siempre que tengan capacidad jurídica para tomar dicha decisión, que esta conste y que no se comprometan los derechos de privacidad y autodeterminación informativa de otras personas.

Artículo 16.-Mecanismos, herramientas tecnológicas y recurso humano para despersonalizar o anonimizar datos. Se podrá utilizar y mejorar las herramientas tecnológicas que faciliten la labor de despersonalización, sin que esto sustituya la labor de revisión y supervisión en cuanto a la calidad y contenido de la información por parte de las personas encargadas y responsables de este proceso.

Corresponderá a la Dirección General de Estrategia Tecnológica valorar las opciones disponibles y de proporcionar al personal encargado de la despersonalización de documentos, las herramientas tecnológicas para la protección de datos, con garantías de seguridad, confidencialidad, disponibilidad, accesibilidad e integridad de la información se que emite y custodia en el TSE.

Las personas encargadas de la despersonalización o anonimización de documentos deberán emplear aquellos mecanismos tecnológicos con los que cuente la institución, y estos serán utilizados en estricto apego a las recomendaciones técnicas y de seguridad de la información que sean indicadas por la Dirección General de Estrategia Tecnológica.

Está prohibido el uso de herramientas tecnológicas no autorizadas o que no sean oficiales. No obstante, en casos donde se soliciten documentos o cualquier otro conjunto estructurado de datos que únicamente consten en formato físico y que no se puedan convertir a uno digital compatible con las herramientas de anonimización oficiales o autorizadas, se podrán adoptar medidas manuales para la despersonalización, siempre que sean idóneas para lograr un tratamiento de datos adecuado, así como para permitir la comprensión del documento o la base de datos.

La persona responsable de la protección y la persona encargada de la despersonalización o anonimización de documentos y de las diferentes bases de datos deberán hacer el análisis de riesgos previo y establecer las acciones mínimas a las que obliga la normativa que rige la materia, a efectos de prevenir deficiencias de seguridad de la información. Lo anterior, sin perjuicio de la valoración de riesgos permanente existente en la institución.

Artículo 17.-Bases de datos. En cada Dirección General u oficina del TSE se mantendrán dos tipos de bases de datos:

a) Base de datos de acceso restringido: Contendrá toda la información en forma íntegra, sin ningún tratamiento de despersonalización o anonimización y será conservada para su uso y consulta interna, mediante los procedimientos y sistemas informáticos establecidos y bajo resguardo controlado, de acuerdo con las regulaciones de gestión documental.

b) Base de datos pública: En cuanto a la información que deberá ser publicada en Internet o de acceso a cualquier persona que la solicite o busque, se mantendrá una base de datos pública, que contendrá, cuando corresponda, la información despersonalizada o anonimizada según los parámetros de este reglamento y demás normativa relacionada. El documento publicado deberá coincidir fielmente con la versión existente en la base de datos de acceso restringido correspondiente.

La base de datos pública será el archivo oficial para el almacenamiento de documentos que contengan datos sensibles despersonalizados, y será la fuente oficial de la información a ser publicada, divulgada o transmitida a terceras personas.

No se registrarán datos personales en bases de datos que no reúnan las condiciones que garanticen plenamente su seguridad e integridad, así como la de los centros de tratamiento, equipos, sistemas y programas.

Artículo 18.-Almacenamiento y conservación de textos originales. Para efectos de uso institucional y para garantizar a las partes su derecho de acceso a la información, es deber de las Direcciones y de todas las oficinas del TSE emisoras de los documentos, conservar los textos originales, conforme a la Ley N° 8968, las políticas institucionales y demás regulaciones establecidas para la gestión documental.

Artículo 19.-Seguridad de los datos. Para garantizar la seguridad e integridad de los datos de carácter personal almacenados y evitar su alteración, destrucción accidental o ilícita, pérdida, tratamiento o acceso no autorizado, así como cualquier otra acción contraria a la ley, la Dirección General de Estrategia Tecnológica establecerá un único procedimiento que contemple las medidas de índole técnica y tecnológica que deberá adoptar toda dirección, oficina, programa o comisión, personas responsables de la protección de datos y personas encargadas de la despersonalización o anonimización de documentos.

Artículo 20.-Datos que requieren especial atención. Además de lo dispuesto en este reglamento sobre datos sensibles y datos de acceso restringido, se deberá prestar especial atención y realizar la despersonalización o anonimización correspondiente cuando se trate de los siguientes datos:

1. De personas menores de edad, incluyendo situaciones en las que la persona era menor de edad, aunque ya no lo sea.

2. De personas con discapacidad.

3. De víctimas de acoso sexual o laboral, víctimas de delitos sexuales, violencia doméstica o violencia política.

4. De partes o intervinientes procesales cuya divulgación de datos permita identificar a una tercera persona de la cual deban despersonalizarse o anonimizarse datos.

5. Que, en virtud de disposiciones legales o de rango superior vinculantes, tengan carácter confidencial o privado.

6. Los datos agregados a bases de datos anonimizadas sobre poblaciones en condición de vulnerabilidad pueden ser tratados y divulgados, siempre y cuando, se establezcan las garantías oportunas para salvaguardar los derechos contemplados en la legislación.

Artículo 21.-Consentimiento informado. La persona titular de información que conste en las bases de datos del TSE tiene derecho a que se le requiera su consentimiento informado para efectos del uso y transferencia de su información, con las salvedades que establece este reglamento y la ley.

No será necesario obtener consentimiento expreso para tratar datos personales suministrados por obligación legal o constitucional, siempre que esto se circunscriba exclusivamente a los fines registrales, electorales, procesales o administrativos para los que fueron recabados, o bien, a otros fines no incompatibles según el principio de adecuación al fin.

Si los datos entregados por disposición legal o constitucional se desean utilizar para fines distintos a los autorizados en el párrafo anterior, será indispensable obtener el consentimiento expreso de la persona titular.

Cuando una persona física o jurídica particular o institución pública soliciten la transferencia de información contenida en una base de datos del TSE en la que consten datos personales, requerirá consentimiento expreso y válido de las personas titulares, a excepción de los supuestos contemplados por ley. Dicho consentimiento informado ante el TSE será exigible en cualquier trámite administrativo o instrumento convencional o contractual que se suscriba y que tenga vinculación con datos personales, previo cumplimiento de los protocolos de actuación que al efecto se formulen.

Artículo 22.-Derecho al olvido. Toda persona tiene derecho a que los datos de carácter personal que pudieran afectarla de alguna forma no estén disponibles para terceros, en bases de datos públicas, una vez transcurrido el plazo de 10 años desde la fecha de ocurrencia de los hechos o actos administrativos registrados, salvo disposición normativa especial que disponga otro plazo para datos específicos.

Toda persona interesada o quien esté legitimada para ello, podrá solicitar que se eliminen de los documentos emitidos en el TSE, los datos personales que consten sobre su persona. Asimismo, podrá solicitar que se eliminen aquellos datos que permitan su identificación, transcurridos diez años desde la emisión del documento o de la base de datos que la contenga.

El plazo podrá variar en supuestos específicos si existe normativa o disposición jurídica vinculante que así lo avale.

Las solicitudes de anonimización deberán ser resueltas en un plazo no mayor a diez días hábiles.

Cada dependencia deberá llevar un archivo de control interno de todas las solicitudes con la finalidad de verificar el respeto a los plazos y demás derechos de la personainteresada.

Para efectos de aplicación en el presente reglamento, el derecho al olvido corresponderá exclusivamente a las bases de datos de acceso público del TSE.

Artículo 23.-Acceso a documentación que consta en el sitio web del Tribunal Supremo de Elecciones. Cuando alguna persona interesada solicite documentos que estén disponibles en el sitio web del TSE, se procurará entregar la información contenida en ese medio oficial, sea mediante el enlace de acceso específico, descarga digital o impresión. Lo anterior, toda vez que la información contenida en las bases de datos en línea ya ha debido pasar por el proceso de tratamiento de datos personales, caso contrario, la persona funcionaria que atiende el requerimiento de interés y detecta la omisión, no facilitará el documento, sino que deberá informarlo de inmediato a la persona responsable de la despersonalización de la oficina emisora para su corrección conforme lo establecido en el artículo 26 de este Reglamento.

Una vez despersonalizado o anonimizado el documento la persona responsable de la protección de datos solicitará la debida actualización en el sitio web y lo comunicará a quien informó de la omisión, a fin de que se pueda atender, sin mayor demora, la gestión.

Artículo 24.-Solicitudes de protección y recepción de consultas, dudas y quejas. Con las salvedades de ley, la persona interesada o quien esté legitimada, podrá solicitar el acceso a la información que conste sobre su persona, solicitar su rectificación, actualización, anonimización o eliminación, en atención a los derechos de acceso a la información y de rectificación de todas las personas con respecto a sus datos personales contenidos en la Ley N° 8968.

Podrá plantear su solicitud, consulta, duda o queja de forma electrónica a través de los medios que para ese fin sean habilitados, o bien de forma presencial ante la Contraloría de Servicios del TSE. Dicha oficina será la encargada de tramitar y dar respuesta a las gestiones realizadas por ambas vías, para lo cual coordinará lo necesario con la oficina emisora del documento.

En caso de que la solicitud sea presentada en despacho u oficina distinta, deberá, en el término de 24 horas, orientarse el trámite y reenviarse a la Contraloría de Servicios para su atención.

Estas solicitudes se atenderán y resolverán en un plazo máximo de diez días hábiles, contados a partir del día siguiente a la recepción, de conformidad con lo descrito en el protocolo respectivo.

De la entrega de los documentos de acceso público no disponibles en el sitio web institucional, tanto la persona responsable de la protección de datos como la Contraloría de Servicios, cuando corresponda, deberán llevar una bitácora o registro que permita dar trazabilidad al suministro de la información, donde se detalle, al menos, el nombre completo de la persona usuaria solicitante, tipo y número de identificación, breve descripción del documento suministrado, forma en la que se le entregó y confirmación, en caso de existir, de que se protegieron los datos sensibles y/o de acceso restringido.

Artículo 25.-Información publicada antes de la promulgación y entrada en vigor de la Ley N° 8968. Los documentos emitidos antes del mes setiembre del 2011, fecha de entrada en vigor de la Ley N° 8968, se despersonalizarán o anonimizarán a petición de parte, de conformidad con lo dispuesto en este reglamento y el protocolo respectivo.

Aquellas solicitudes de protección de datos que se reciban en la Contraloría de Servicios deberán ser remitidas de inmediato a la persona responsable o despacho encargado de la protección, para su trámite y resolución en un plazo no mayor de 10 días hábiles. Una vez finalizado el tratamiento de los datos, se informará a la Contraloría de Servicios para que esta le comunique formalmente a la persona petente.

Artículo 26.-Deber de informar y corregir errores y omisiones.- Toda persona funcionaria del TSE que detecte que algún documento no ha pasado por el proceso de despersonalización o anonimización deberá comunicarlo de inmediato a la persona responsable de la protección de datos de la oficina emisora del documento para que esta proceda con su pronto tratamiento y puesta a disposición pública.

La persona encargada de la despersonalización o anonimización en la oficina emisora de un documento que contenga errores u omisiones deberá de oficio o a petición de terceras personas, en coordinación con la persona responsable de la protección de datos de la misma oficina, corregirlos en un plazo no mayor a dos días hábiles, contados a partir de su propia detección o de recibido el reporte del error u omisión enviado por cualquiera otra dependencia o persona funcionaria del TSE.

SECCIÓN IV

Seguimiento y aplicación de este reglamento

Artículo 27.-Protocolo para la despersonalización de documentos. Los procedimientos para la implementación de este reglamento serán desarrollados en un protocolo que se dictará al efecto y que será inscrito en la Agencia de Protección de Datos de los Habitantes (Prodhab), del Ministerio de Justicia y Paz, en los términos dispuestos por el artículo 12 de la Ley N° 8968.

Artículo 28.-Capacitación. El Departamento de Recursos Humanos deberá incorporar, en los programas y cursos que impartan, el componente de protección de datos y el fomento de una cultura institucional enfocada a ello, así como todo lo relacionado con los conocimientos propios de la materia, las regulaciones legales establecidas al efecto, lo dispuesto en el presente reglamento y lo referente al protocolo y lineamientos internos que la regulan.

Artículo 29.-Control interno y gestión documental para el cumplimiento de las políticas de privacidad. Los despachos u oficinas, responsables y encargados, deberán establecer mecanismos de control interno, con el fin de verificar el cumplimiento de este reglamento, el protocolo y los procedimientos correspondientes, así como coordinar con el Archivo Central del TSE lo relativo a la gestión documental que corresponda.

Artículo 30.-Acatamiento de este reglamento y sanciones por incumplimiento. Este reglamento será de acatamiento obligatorio para todas las oficinas del TSE, para el personal encargado de elaborar, redactar y custodiar documentos emitidos en la institución, así como para las personas responsables y encargadas de la protección de datos y la despersonalización.

El incumplimiento de las disposiciones contenidas en el presente reglamento y su protocolo por parte de la persona funcionaria institucional, podrá acarrear responsabilidad administrativa y sanciones de acuerdo con lo que establece el Reglamento Autónomo de Servicios del Tribunal Supremo de Elecciones, así como las demás disposiciones vigentes y aplicables en la normativa que rige la materia; sin perjuicio de las responsabilidades civiles y penales que conforme al ordenamiento jurídico le sean aplicables. Asimismo, facultará al jerarca institucional a adoptar medidas para limitar, total o parcialmente, el acceso a las bases de datos con datos personales a quien se determine como responsable de la respectiva acción u omisión, previa aplicación del procedimiento ordinario.

En caso de que se efectúe un procedimiento administrativo sancionatorio, se podrá adoptar cautelarmente la suspensión de acceso a las bases de datos durante su desarrollo y hasta que no se emita el respectivo acto administrativo firme.

Artículo 31.-Vigencia del reglamento. Este reglamento rige a partir de su publicación en el Diario Oficial.

Transitorio único.-Cada una de las direcciones institucionales, en un plazo no mayor a quince días naturales, contados a partir de la publicación oficial de este reglamento, designará, de entre su funcionariado, a las personas responsables de la protección de datos personales y a las personas encargadas de la despersonalización o anonimización de documentos que considere necesarias a lo interno de sus dependencias, y dispondrá, formalmente, el plan de implementación de lo establecido en este reglamento y el protocolo respectivo para que su ejecución inicie dentro de los 30 días naturales siguientes a dicha publicación. Independientemente de que se haya o no estructurado lo anterior, si la información no ha sido protegida según lo dispuesto en la Ley N° 8968 y demás normativa aplicable, esta no podrá publicitarse por ningún medio ni suministrarse a terceras personas; no obstante, la tardanza injustificada para proceder con el tratamiento de los datos podría acarrear responsabilidad por el incumplimiento.

Dado en San José a los doce días del mes de noviembre de dos mil veinticuatro.